티빙 3954만건 유출·애플 최고위험도 결함, '보안 부실'의 연쇄

동영상 스트리밍 플랫폼 티빙에서 2023년 해킹으로 3954만 건의 고객정보가 유출된 사건과 애플의 CVSS 10점 샌드박스 우회 취약점이 동시에 드러나면서, 대형 IT 기업들의 보안 관리 시스템이 근본적으로 재점검되어야 한다는 지적이 나온다.

티빙 사건: 규모와 법 위반 모두 심각

티빙의 해킹 사건은 단순한 정보 유출을 넘어선다. 유출된 3954만 건에는 이메일, 비밀번호 해시값, 휴대폰 번호 등 민감한 개인정보가 포함되었다. 이는 국내 가입자의 상당수에 해당하는 규모다.

더 문제적인 것은 사후 대응 과정이다. 티빙은 보상금 지급 대상을 '현재 가입자'로 한정해 탈퇴 회원을 제외했다. 개인정보보호법은 정보주체가 회사를 떠났다고 해도 침해 피해에 대한 보상청구권을 인정한다. 이는 '모든 정보주체에 대한 동등한 보호 의무'를 규정한 법 정신과 위배된다.

보안 전문가들은 "비용 최소화를 위해 법 테두리를 좁게 해석하려는 기업 관행이 개인정보보호 침해로 이어지는 악순환"이라고 지적했다.

애플 결함: 샌드박스 무력화의 위험

애플의 CVE-2026-65381 취약점은 기술적으로 더욱 심각하다. CVSS 10점 만점의 평가는 "즉시 패치가 필수"라는 신호다.

macOS 샌드박스는 악성 앱의 피해를 격리시키기 위한 최후의 방어선이다. 이를 우회할 수 있다면 사용자 시스템 전체가 공격자의 손에 넘어간다는 의미다. 개인 금융 정보, 기업 업무 데이터, 암호 저장소가 모두 노출될 수 있다.

특히 인기 있는 애플 기기의 광범위한 사용자층을 감안하면, 이 결함으로 인한 실제 피해 규모는 티빙을 훨씬 초과할 수 있다.

공통 패턴: 탐지 지연과 투명성 부족

두 사건의 공통분모는 발견 시점과 공개 시점의 괴리다.

• 티빙은 2023년 침해 후 공식 발표까지 수개월 소요
• 애플은 패치를 제공하면서 취약점 심각성을 즉시 공개하지 않음

정보보호 관련 규정(개인정보보호법, 정보통신망법)은 침해 사실 인지 후 지체 없이 정보주체에게 통지하도록 강제한다. 그러나 기업들은 여전히 '평판 관리'를 우선시하는 경향을 보인다.

기업·기관의 대응 방안

1단계: 기술적 재점검
- 정기적 모의 침투 테스트(Penetration Testing)
- 취약점 스캐닝 자동화 및 고위험도 결함 우선순위 체계 수립

2단계: 법 준수 강화
- 개인정보 침해 시 보상 범위를 '현재 가입자'로 제한하지 말 것
- 침해 사실 발견 즉시 신고 체계 구축 (72시간 이내 통지)

3단계: 조직 문화 개선
- 보안 담당자의 독립적 권한 보장
- 경영진 성과 평가에 '보안 준수율' 포함

---

📌 자격증 연계 포인트: CPPG·ISMS-P

[개인정보보호 정책 기초(CPPG) 시험 출제 가능 포인트]

개인정보보호법 제37조(손해배상)는 정보주체가 침해 피해를 입었을 때 개인정보처리자에게 손해배상을 청구할 권리를 보장한다. 이때 '탈퇴 회원 제외' 조건은 법령상 근거가 없으며, 기업의 자의적 보상 범위 결정은 법 위반에 해당한다. ISMS-P 심사 시에도 침해 대응 절차에서 정보주체 통지 기준과 범위의 명확성을 점검 항목으로 삼는다.

---

기자 백남정 / 개인정보보호 전문